Normes de cybersécurité industrielle IEC 62443
Sytance · Mis à jour
La série IEC 62443 est une série de normes de cybersécurité pour les systèmes d’automatisation et de commande industriels (IACS). Ses différentes parties portent sur l’organisation exploitante, les prestataires de services, la conception des systèmes, le développement sécurisé des produits et les capacités des composants.
Normes relatives aux systèmes de commande industriels
La série traite des systèmes d’automatisation et de commande industriels tout au long de leur cycle de vie. Il ne s’agit ni uniquement d’une norme sur les appareils ni seulement d’un socle de sécurité réseau. Un même site peut devoir conserver des dossiers sur le programme de sécurité du propriétaire des actifs, les services fournis, la conception du système et les produits livrés.
Rôles et champ d’application
Une erreur fréquente consiste à affirmer qu’un produit, un service ou une installation est simplement conforme à la série IEC 62443. Une déclaration de conformité doit préciser le rôle, la partie de la norme, l’édition et le périmètre de l’évaluation.
Propriétaire des actifs
Gère l’environnement d’exploitation, les politiques, les décisions relatives aux risques et de nombreux contrôles au niveau du site.
Concepteur de systèmes
Définit les limites du système, les zones, les conduits, les exigences et les niveaux de sécurité visés.
Fournisseur de produits
Fournit des preuves concernant le développement sécurisé et les capacités des composants livrés.
Prestataire de services
Démontre ses capacités en matière d’intégration, de maintenance et de services associés dans un profil défini.
Principales parties utilisées en pratique
Les six parties ci-dessous constituent des points de départ courants. Leurs exigences s’appliquent à différentes responsabilités et étapes du cycle de vie des IACS.
IEC 62443-2-1
Programme de sécurité du propriétaire des actifs pour un IACS en exploitation.
IEC 62443-2-4
Capacités des prestataires de services pour l’intégration et la maintenance.
IEC 62443-3-2
Évaluation des risques du système, zones, conduits et niveaux de sécurité visés.
IEC 62443-3-3
Exigences et niveaux de sécurité des systèmes.
IEC 62443-4-1
Cycle de vie du développement sécurisé des produits pour les fournisseurs.
IEC 62443-4-2
Exigences techniques de capacité de sécurité pour les composants IACS.
Zones, conduits et niveaux de sécurité
L’évaluation d’un système commence généralement par la définition du système considéré, de ses zones et de ses conduits, puis par une évaluation des risques. Les niveaux de sécurité expriment ensuite les capacités visées ou atteintes dans un périmètre défini ; ils ne doivent pas être utilisés comme un simple argument marketing pour un produit.
Certification et législation sur les produits
Les schémas de certification et les législations sur les produits utilisent la série IEC 62443 de différentes manières. Un certificat peut attester des capacités d’un processus, d’un composant, d’un système ou d’un service dans le périmètre qu’il précise. La conformité à la législation sur les produits dépend toujours de la loi, du produit, de l’exigence, de l’édition et de la voie normative reconnue.